安全漏洞管理

凌晨三点，安全某电商平台的漏洞告警系统突然炸了。安全团队盯着屏幕，管理发现一个被忽略的安全API接口正被脚本疯狂调用——攻击者利用的是三个月前就公开的漏洞，补丁早就发布了，漏洞但没人记得给这个边缘服务打上。管理数据泄露了四小时才被阻断，安全事后复盘，漏洞所有人沉默：问题不在漏洞本身，管理而在没人把漏洞管理当成持续运转的安全流程。

漏洞管理最容易被误解的漏洞地方，就是管理以为它等于“装个扫描器”。扫描器能告诉你哪里有洞，安全但没法告诉你哪个洞最致命。漏洞我见过一家公司，管理每周跑一次全量扫描，报告长达两百页，运维团队挑着修了几个高危项，剩下的归档了事。结果真正被利用的，恰恰是那个中危的——因为它暴露在公网，还连着内部数据库。修复优先级得结合资产价值、暴露面、攻击路径来判断，而不是只看CVSS分数。

另一个坑是“补丁日综合症”。每月第二个星期二，微软发补丁，很多企业就跟着手忙脚乱。但现实是，不是所有补丁都能立刻打——有些系统不能重启，有些依赖旧版本库，还有些厂商根本没提供补丁。这时候需要的是临时缓解措施，比如防火墙规则、WAF拦截、或者干脆断开外网连接。光等着补丁到位，等于把窗口期白白让给攻击者。

我见过做得最扎实的团队，他们的做法其实很朴素：一张电子表格，但每一行都活着的。漏洞从发现那天起，就有负责人、有截止日期、有验证状态。每周例会不是看报告，而是逐个过那些超期未修复的项——问清楚卡在哪，是没资源，还是技术冲突，还是压根没人认领。这种笨办法，比任何高大上的平台都管用。

还有个常被忽略的细节：漏洞管理要覆盖整个供应链。去年Log4j爆发时，很多公司自查内部系统，却忘了第三方SDK和合作方的接口。有个金融客户，核心系统都打了补丁，结果数据是从他们合作的短信服务商那里漏出去的——那家小公司连漏洞扫描都没做过。合同里得写清楚安全责任，定期审计供应商的修复记录，别等出事才追责。

说到底，漏洞管理就是跟时间赛跑。从漏洞公开到被武器化，平均时间已经缩短到几天，而企业平均修复周期还是按月算。你得承认，不可能消灭所有漏洞，能做的只是让每个已知漏洞的存在时间尽量短，让高危的暴露面尽量小。这活儿不性感，但每次成功拦截攻击，背后都是这些枯燥的清单和跟进。

对了，别忘了一件事：修复完不等于结束。得验证补丁真的生效了，还要检查有没有类似问题在其他地方潜伏。有一次我们修完一个SQL注入点，顺手搜了代码库，发现同一个开发写的另外三个接口也有同样的毛病。修一个洞，不如堵住产生洞的那条流水线。